「VMware vCenter Server」にアップデート - 不具合判明から約1カ月

「VMware vCenter Server」に「クリティカル（Critical）」とされる脆弱性が発見され、修正されたものの、その後アップデートに不具合が見つかった問題で、Broadcomは問題を解決したアップデートをリリースした。不具合の公表より対応まで1カ月ほど要した。

同製品では、「CVE-2024-38812」など2件の脆弱性が判明。現地時間9月17日にセキュリティアドバイザリを公開、アップデートをリリースしたが、同月20日に「同8.0 U3b」を適用すると応答しなくなる問題があることを明らかにしていた。

同社は現地時間10月21日、「CVE-2024-38812」を完全に修正する追加修正を含んだ「VMware vCenter Server 8.0 U3d」をリリース。当初問題に言及されていなかった「同7.0」系統に対しても「同7.0 U3t」の提供を開始した。

あわせて「同8.0 U2e」も公開している。同アップデートでは「CVE-2024-38812」および「CVE-2024-38813」を修正したとしている。

「CVE-2024-38812」は、「DCERPCプロトコル」の実装に起因するヒープオーバーフローの脆弱性。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

一方「CVE-2024-38813」は権限昇格の脆弱性で、アクセス権限を持つ場合に、細工したパケットを送信することでroot権限を取得できるとしている。

お詫びと訂正：本記事初出時の記載について、修正バージョンの記載に誤りがありました。ご迷惑をおかけした読者、関係者のみなさまにお詫びし、訂正いたします。

（Security NEXT - 2024/10/22 ）ツイート